İçindekiler
ISO 27001 EK-A Tetkik Soru Listesi, standardın Ek-A kontrol maddelerinin her birine karşılık gelen denetim sorularını içeren, iç tetkiklerde kullanılan kapsamlı bir soru listesidir. Bu yazıda listenin amacını, kapsadığı kontrol alanlarını ve ISO 27001 denetiminde İç Tetkik Soru Listesinden farkını ele alıyoruz.
ISO 27001 EK-A Tetkik Soru Listesinin Amacı Nedir?
Bu liste, İç Tetkik Prosedürü kapsamında Ek-A kontrollerinin kuruluşta fiilen uygulanıp uygulanmadığının sistematik olarak sorgulanmasını sağlar. ISO 27001’in Ek-A’sı, standardın “ne yapılmalı” sorusuna somut kontrol maddeleriyle cevap veren bölümüdür; bu liste, her bir kontrol maddesini doğrudan bir denetim sorusuna dönüştürerek iç tetkikçinin hiçbir maddeyi atlamamasını garanti eder.
Liste Hangi Kontrol Alanlarını Kapsar?
- Bilgi güvenliği politikaları, kurumsal roller ve mobil cihaz/uzaktan çalışma (Madde 5-6-7)
- Varlık yönetimi, ortam yönetimi ve erişim denetimi (Madde 8-9)
- Kriptografi, fiziksel güvenlik ve işletim güvenliği (Madde 10-11-12)
- İletişim güvenliği, sistem edinimi/geliştirme/bakım ve tedarikçi ilişkileri (Madde 13-14-15)
Kapsamın bu kadar geniş olması (politikalardan kriptografiye, fiziksel güvenlikten tedarikçi ilişkilerine) bu listenin tek bir tetkikçinin tek oturumda tamamlayabileceği kısa bir kontrol değil, kuruluşun tüm BGYS’sini uçtan uca tarayan kapsamlı bir doğrulama aracı olduğunu gösterir.
Bu Liste Denetimde Nasıl Değerlendirilir?
Her soru için DF (düzeltme faaliyeti), İF (iyileştirme faaliyeti) ve açıklama sütunları bulunur. Denetçiler bu listeyi incelerken genellikle geçmiş iç tetkiklerde tespit edilen DF/İF’lerin kapatılıp kapatılmadığını sorgular. Bu liste, ISO 27001 belgesi denetimlerinde Ek-A kontrollerinin madde madde ve sistematik şekilde doğrulandığının kanıtıdır.